Zum Inhalt
Klicken Sie hier für Support-Informationen zu MDR.

Permalink für diese Seite

Verwenden Sie immer den folgenden Permalink, um auf diese Seite zu verweisen. Der Link bleibt auch in zukünftigen Versionen dieser Hilfe unverändert.

https://docs.sophos.com/central/customer/help/de-de/index.html?contextId=fortianalyzer-log-collector

Fortinet FortiAnalyzer (Protokollsammler)

Protokollsammler Firewall

Sie benötigen das Integrations-Lizenz-Paket „Firewall“, um diese Funktion nutzen zu können.

Hinweis

Durch diese Integration können die FortiAnalyzer Appliance und VM-Abonnement-Produkte Daten an Sophos weiterleiten. FortiAnalyzer Cloud kann jedoch keine Protokolle weiterleiten, einschließlich Sicherheitsereignisse, und ist daher nicht mit dieser Integration kompatibel. Siehe Einschränkungen von FortiAnalyzer Cloud.

Hinweis

Eine API-basierte Integration von FortiAnalyzer ist ebenfalls verfügbar. Siehe Fortinet FortiAnalyzer (API) integrieren.

Sie können Fortinet FortiAnalyzer in Sophos Central integrieren, sodass Firewall-Alarme an Sophos zur Analyse gesendet werden.

Diese Integration verwendet einen auf einer virtuellen Maschine (VM) gehosteten Protokollsammler. Zusammen werden sie als Integrations-Appliance bezeichnet. Die Appliance empfängt Daten von Drittanbietern und sendet sie an den Sophos Data Lake.

Wichtige Schritte

Die wichtigsten Schritte einer Integration lauten wie folgt:

  • Fügen Sie eine Integration für dieses Produkt hinzu. In diesem Schritt erstellen Sie ein Image der Appliance.
  • Laden Sie das Image herunter und stellen Sie es auf Ihrer VM bereit. Dies wird zu Ihrer Appliance.
  • Konfigurieren Sie FortiAnalyzer so, dass Daten an die Appliance gesendet werden.

Voraussetzungen

Appliances haben System- und Netzwerkzugriffsanforderungen. Um zu überprüfen, ob Sie diese erfüllen, lesen Sie Appliance-Anforderungen.

Eine neue Integration hinzufügen

Um die Integration hinzuzufügen, gehen Sie folgendermaßen vor:

  1. Gehen Sie in Sophos Central zu Bedrohungsanalyse-Center > Integrationen > Marketplace.

  2. Klicken Sie Fortinet FortiAnalyzer (Protokollsammler).

    Die Seite Fortinet FortiAnalyzer (Protokollsammler) wird geöffnet. Sie können hier Integrationen hinzufügen und eine Liste aller bereits konfigurierten Integrationen anzeigen.

  3. Klicken Sie unter Datenerfassung (Sicherheitsalarme) auf Konfiguration hinzufügen.

    Hinweis

    Wenn dies die erste Integration ist, die Sie hinzugefügt haben, werden Sie zur Angabe von Details zu Ihren internen Domänen und IP-Adressen aufgefordert. Siehe Details zu Ihren Domänen und IPs eingeben.

    Integrations-Einrichtungsschritte wird angezeigt.

Appliance konfigurieren

In den Integrations-Einrichtungsschritten können Sie eine neue Appliance konfigurieren oder eine vorhandene Appliance verwenden.

Hier wird davon ausgegangen, dass Sie eine neue Appliance konfigurieren. Erstellen Sie dazu wie folgt ein Image:

  1. Geben Sie einen Integrationsnamen und eine Beschreibung ein.
  2. Klicken Sie auf Neue Appliance erstellen.
  3. Geben Sie einen Namen und eine Beschreibung für die Appliance ein.
  4. Wählen Sie die virtuelle Plattform aus. Derzeit unterstützen wir VMware ESXi 6.7 Update 3 und neuer sowie Microsoft Hyper-V 6.0.6001.18016 (Windows Server 2016) und neuer.

  5. Legen Sie die IP-Einstellungen für die internetseitigen Netzwerk-Ports fest. Dadurch wird die Verwaltungsschnittstelle für die Appliance eingerichtet.

    • Wählen Sie DHCP, um die IP-Adresse automatisch zuzuweisen.

      Hinweis

      Wenn Sie DHCP auswählen, müssen Sie die IP-Adresse reservieren.

    • Wählen Sie Manuell, um Ihre Netzwerkeinstellungen festzulegen.

  6. Wählen Sie die Syslog-IP-Version aus und geben Sie die Syslog-IP-Adresse ein.

    Sie benötigen diese Syslog-IP-Adresse später, wenn Sie FortiAnalyzer so konfigurieren, dass Daten an Ihre Appliance gesendet werden.

  7. Wählen Sie ein Protokoll aus.

    Sie müssen dasselbe Protokoll später verwenden, wenn Sie FortiAnalyzer zum Senden von Daten an Ihre Appliance konfigurieren.

  8. Klicken Sie auf Speichern.

    Wir erstellen die Integration und sie wird in Ihrer Liste angezeigt.

    In den Integrationsdetails sehen Sie die Portnummer für die Appliance. Sie benötigen dies später, wenn Sie FortiAnalyzer so konfigurieren, dass Daten dorthin gesendet werden.

    Es kann einige Minuten dauern, bis das Appliance-Image bereit ist.

Appliance bereitstellen

Einschränkung

In ESXi wird die OVA-Datei von Sophos Central verifiziert und kann nur einmal verwendet werden. Wenn Sie eine weitere VM bereitstellen, müssen Sie in Sophos Central noch eine OVA-Datei erstellen.

Verwenden Sie das Image, um die Appliance wie folgt bereitzustellen:

  1. Klicken Sie in der Liste der Integrationen unter Aktionen auf die Download-Aktion für Ihre Plattform, zum Beispiel OVA herunterladen für ESXi.
  2. Wenn der Download des Image abgeschlossen ist, stellen Sie es auf Ihrer VM bereit. Siehe Appliances bereitstellen.

FortiAnalyzer konfigurieren

Jetzt konfigurieren Sie FortiAnalyzer so, dass Alarme an die Sophos-Appliance auf der VM gesendet werden.

Hinweis

Sie können mehrere Instanzen von FortiAnalyzer so konfigurieren, dass Daten über dieselbe Appliance an Sophos gesendet werden. Nachdem Sie die Integration abgeschlossen haben, wiederholen Sie die Schritte in diesem Abschnitt für die anderen Instanzen von FortiAnalyzer. Sie müssen die Schritte in Sophos Central nicht wiederholen.

Sie können die Protokollweiterleitung in der FortiAnalyzer-Konsole wie folgt konfigurieren:

  1. Gehen Sie zu System Settings > Log Forwarding.
  2. Klicken Sie auf Create New.

  3. Geben Sie auf der Seite Create New Log Forwarding die folgenden Details ein:

    1. Name: Geben Sie einen Namen für den Server ein, zum Beispiel „Sophos Appliance“.
    2. Status: Stellen Sie diese Option auf On.
    3. Remote Server Type: Wählen Sie Common Event Format (CEF) aus.
    4. Server-IP: Geben Sie die IP-Adresse Ihrer Appliance ein. Dies ist die Syslog-IP-Adresse, die Sie in Sophos Central eingegeben haben.
    5. Server-Port: Geben Sie die Portnummer ein, die Sie in Sophos Central festgelegt haben.
    6. Reliable Connection: Aktivieren Sie diese Option, um eine TCP-Verbindung zu verwenden. Deaktivieren Sie sie, um eine UDP-Verbindung zu verwenden. Dies muss mit dem Protokoll übereinstimmen, das Sie zuvor in Sophos Central festgelegt haben.
    7. Sending Frequency. Überspringen Sie diese Option. Dies gilt nur für FortiAnalyzer-Server.
    8. Log Forwarding Filters: Es wird empfohlen, keine Filter auf FortiAnalyzer anzuwenden. Sophos filtert auf der Appliance.
    9. Klicken Sie auf OK.

Das FortiAnalyzer-Gerät beginnt mit der Weiterleitung von Protokollen an die Appliance.